Google ha iniziato a introdurre un nuovo metodo per recuperare l'accesso al proprio account in caso di smarrimento del telefono o di dimenticanza della password: un'opzione di verifica tramite "video selfie".
Dopo aver registrato un breve video del tuo volto durante la configurazione, potrai in seguito inviare un altro video durante la procedura di recupero dell'account per dimostrare di essere chi dici di essere e riottenere l'accesso.
Sulla carta, questa sembra una soluzione intuitiva per il blocco degli account. In pratica, introduce nuove questioni di sicurezza e privacy. Solleva inoltre preoccupazioni riguardo deepfakes e crea un ulteriore archivio di dati biometrici sensibili che potrebbero diventare un bersaglio in caso di violazione.
Il procedimento è il seguente: accedi al tuo account Google, vai alla sezione "Sicurezza e accesso", seleziona "Video selfie" e segui le istruzioni per registrare un breve video in cui si vedano il tuo volto e alcuni movimenti semplici. Google archivia questo video di registrazione e, in seguito, lo confronta con i nuovi video che invii durante la procedura di accesso o di recupero dell'account per confermare la tua identità.
Sebbene possa sembrare una buona idea, si tratta di un esempio da manuale di come si sacrifichino la sicurezza e la privacy a lungo termine in cambio di una comodità a breve termine.
Google offre inoltre diverse garanzie in materia di privacy. Secondo le dichiarazioni di Google citate nei servizi giornalistici, i video sono crittografati quando non sono in uso, archiviati “in modo sicuro” e possono essere cancellati tramite le impostazioni di sicurezza. È possibile scegliere di non consentire che vengano utilizzati per migliorare i sistemi di verifica di Google, e Google afferma che non vengono condivisi con terze parti. La funzione viene promossa come metodo di riserva, trasformando di fatto il proprio volto in una chiave di riserva per la propria vita digitale.
Obiezioni multiple
Sicurezza
Ogni volto è unico, ma i sistemi di riconoscimento facciale non confrontano direttamente le fotografie. Secondo le valutazioni condotte dal National Institute of Standards and Technology (NIST) degli Stati Uniti, gli algoritmi di riconoscimento facciale di fascia alta possono superare il 99% di accuratezza in condizioni controllate e di alta qualità. Si tratta di un dato impressionante, ma implica comunque la presenza di falsi positivi e falsi negativi non pari a zero, e le prestazioni diminuiscono al peggiorare delle condizioni di illuminazione, della qualità della fotocamera e dell’angolazione.
Il riconoscimento facciale non memorizza una foto vera e propria, bensì una rappresentazione matematica (embedding) dei tratti del viso. Al momento dell’accesso o della verifica, il sistema calcola un nuovo embedding e lo confronta con quello memorizzato, accettando l’autenticazione se il punteggio di somiglianza supera una soglia predefinita. Qualsiasi sistema utilizzato da Google deve tenere conto delle normali variazioni nell’aspetto fisico, tra cui l’invecchiamento, le variazioni di peso, l’illuminazione, l’angolazione della fotocamera, gli occhiali o la barba.
Già solo questo rende l’uso di un’immagine del volto (o di un video selfie) come credenziale autonoma ad alto livello di privilegio, soprattutto per il recupero dell’account, un approccio intrinsecamente rischioso.
Moderno deepfakes sono diventati abbastanza convincenti da indurre i ricercatori a studiare attivamente se sia possibile ingannare i sistemi di verifica facciale. Un documento del 2025 sull'IA e la sicurezza dell'identità ha rilevato sofisticati deepfake In test controllati, alcuni attacchi hanno raggiunto tassi di successo superiori al 78% contro alcuni sistemi commerciali di verifica facciale. Questo dato non riflette necessariamente l'implementazione di Google, ma dimostra la rapidità con cui questo settore si sta evolvendo.
Privacy
Personalmente, non voglio che Google abbia una mia foto. Anche se probabilmente ne ha già tantissime.
Oltre ai potenziali rischi legati alle vulnerabilità e alle violazioni dei dati, Google raccoglie già ingenti quantità di dati comportamentali. Ora sta incoraggiando gli utenti a caricare registrazioni video ad alta fedeltà dei propri volti e dei movimenti della testa nell’ambito della gestione di base dell’account. Anche se l’attuale approccio di Google alla privacy è ragionevole (crittografia dei dati inattivi, controlli sulla cancellazione, nessuna condivisione), la semplice esistenza di questi dati rappresenta un rischio a lungo termine per la privacy.
Privacy Anche le politiche e gli usi dei prodotti cambiano nel tempo. Ciò che oggi è "non condiviso" potrebbe domani diventare "utilizzato per il rilevamento delle frodi", "utilizzato per migliorare i sistemi di verifica" o divulgato in risposta a richieste legittime.
La documentazione di Google, citata da alcune fonti, afferma che «gli utenti possono anche scegliere di non consentire l’utilizzo dei dati per scopi aggiuntivi, come il miglioramento dei metodi di verifica». Ciò implica che, a meno che non si scelga di non acconsentire, i dati potrebbero essere utilizzati per migliorare i sistemi di verifica biometrica di Google. In altre parole, non si tratta solo di un controllo di sicurezza una tantum. Il proprio volto potrebbe contribuire ad addestrare o perfezionare i sistemi biometrici che Google utilizzerà in futuro.
Cosa dovrebbero fare invece gli utenti
Se il tuo account Google offre la possibilità di accedere tramite video selfie (il mio non la offre ancora), il mio consiglio è semplice: non attivarla e, se l’hai già provata, elimina il video selfie dalle impostazioni di sicurezza del tuo account.
Opzioni più sicure che ti consentono di mantenere il controllo:
- Utilizza un gestore di password e una password lunga e unica per il tuo account Google.
- Attiva la verifica in due passaggi utilizzando chiavi di sicurezza hardware o passkey anziché codici SMS.
- Conserva i codici di backup stampati o salvati offline in un luogo sicuro.
- Controlla regolarmente l'indirizzo e-mail e il numero di telefono di recupero ed elimina quelli che non gestisci più.
Sebbene queste misure non siano appariscenti come "accedi con il tuo volto", sono collaudate, revocabili e molto meno attraenti per deepfake operatori e cacciatori di dati biometrici.
Naviga come se nessuno ti guardasse.
Malwarebytes Privacy VPN Crittografa la tua connessione e non registra mai le tue attività, così la prossima storia che leggerai non ti sembrerà personale. Provalo gratis →
